Unverschlüsselte E-Mail-Anhänge mit Mandantenunterlagen sind aus DSGVO-Sicht ein reales Risiko, weil Transport, Speicherung und Zugriff nicht nachvollziehbar abgesichert sind. Aufsichtsbehörden fordern für sensible Daten angemessene technische Maßnahmen nach Art. 32 DSGVO, und ein Standard-SMTP-Postfach erfüllt das bei Steuerbescheiden, Lohnunterlagen oder Gesellschaftsverträgen kaum. Die pragmatische Lösung für Steuerkanzleien ist eine gestufte Treppe von Verschlüsselung und Portal bis zur vollständigen Mandantentrennung mit Audit-Log auf deutschen Servern. Ein Mandantenportal zum Festpreis von 8.000 bis 12.000 Euro ersetzt nicht jede E-Mail, aber es wird zum nachweisbaren Kernkanal für Dokumente, den Sie Mandanten und Prüfer erklären können.
Warum E-Mail-Anhänge mit Mandantendaten problematisch sind
Viele Kanzleien arbeiten noch so, wie es vor zehn Jahren üblich war. Mandant sendet PDF per Mail, Sachbearbeiter speichert lokal, weiterleitung an internen Kollegen per Weiterleitung. Drei Schwachstellen entstehen sofort.
Transport: SMTP-Verbindungen sind heute oft TLS-gesichert, aber Ende-zu-Ende-Verschlüsselung fehlt. Der Provider kann Inhalte technisch einsehen, Fehladressierung ist nicht rückgängig zu machen.
Speicherung: Anhänge landen in Postfächern, die nicht für Archivierung konzipiert sind. Löschfristen, Zugriffsrechte und Backup-Strategien sind selten dokumentiert.
Nachweis: Bei einer Prüfung müssen Sie erklären, wer wann Zugriff hatte. E-Mail-Weiterleitungen erzeugen keine belastbare Zugriffshistorie.
Das Bayerische Landesamt für Datenschutzaufsicht weist regelmäßig darauf hin, dass unverschlüsselter Versand besonders sensibler Daten den Grundsatz der Datenminimierung und Integrität verletzen kann, wenn leichtere, sicherere Alternativen verfügbar sind.
Welche Lösungsstufen gibt es?
Nicht jede Kanzlei muss sofort ein Vollportal einführen. Sinnvoll ist eine Treppe:
| Stufe | Maßnahme | Schutzgrad | Aufwand |
|---|---|---|---|
| 1 | TLS-Pflicht, keine privaten Mail-Adressen | Basis | gering |
| 2 | Verschlüsselte E-Mail (S/MIME, Portal-Mail) | mittel | mittel |
| 3 | Mandantenportal mit Login und Mandantentrennung | hoch | einmalig 8 bis 12k € |
| 4 | Portal plus Automatisierung (Erinnerungen, Checklisten) | sehr hoch | Festpreis plus n8n |
Basis-Schutz allein reicht bei Finanzdaten selten. Ein Portal mit Mandantentrennung ist der Punkt, an dem Verschwiegenheitspflicht und DSGVO in der Praxis zusammenfallen.
Was ein Portal technisch leisten muss
Ein DSGVO-taugliches Mandantenportal braucht mehr als eine Upload-Fläche.
- Verschlüsselung: TLS 1.2+ im Transit, verschlüsselte Speicherung at rest
- Mandantentrennung: Mandant A sieht niemals Dokumente von Mandant B, auch nicht über URL-Manipulation
- Rollen: Steuerberater, Sachbearbeiter, Mandant mit unterschiedlichen Rechten
- Audit-Log: Zeitstempel für Upload, Download, Löschung
- Hosting: EU/Deutschland, AV-Vertrag, dokumentierte Subunternehmer
- Backup und Wiederherstellung: getestet, nicht nur versprochen
Wir betreiben Portale auf IONOS in Deutschland als Teil unseres Made-in-Germany-Stacks. Details zur Architektur finden Sie unter Portal-Sicherheit und Hosting.
Wie führen Sie Mandanten vom E-Mail-Gewohnheitsmodus weg?
Technik allein reicht nicht. Mandanten schicken weiter Anhänge, wenn der neue Weg unbekannt oder umständlich wirkt.
Kommunikation vor dem Go-Live: Schreiben Sie aktiv, dass ab Datum X Unterlagen nur noch über das Portal kommen. Erklären Sie in zwei Sätzen, warum (Sicherheit, Nachvollziehbarkeit).
Erster Upload begleiten: Ein kurzes Telefonat oder Video-Link beim ersten Login senkt Support-Anfragen um ein Vielfaches.
Interne Disziplin: Wenn Sachbearbeiter weiter Anhänge annehmen, bricht das Modell. Definieren Sie eine Regel und halten Sie sie ein.
Prozessintegration: Verknüpfen Sie das Portal mit Ihrer Belegverarbeitung. Wer schon Belege in der Steuerkanzlei digital verarbeitet, hat den nächsten Schritt leichter.
Wann reicht kein Portal?
Ehrliche Einordnung spart Geld. Ein Portal ist nicht nötig, wenn
- Sie ausschließlich DATEV Meine Steuern nutzen und Mandanten es bereits verwenden,
- weniger als 80 Mandanten selten Dokumente senden,
- Ihr Risikoprofil intern als niedrig bewertet und dokumentiert ist (selten bei Steuerdaten),
- keine interne Ressource für Einführung vorhanden ist.
Dann starten Sie mit verschlüsselter E-Mail und klaren Löschfristen. Das ist besser als ein Portal, das niemand nutzt.
Wie DATEV-Bordmittel und eigenes Portal zusammenspielen
DATEV Meine Steuern deckt Standard-Belegupload ab. Ein eigenes Portal ergänzt, wenn Sie Branding, Onboarding oder Sonder-Workflows brauchen. Die Grenzen der Bordmittel beschreiben wir in DATEV Meine Steuern und ihre Grenzen. Der Vergleich SaaS und Individualentwicklung hilft bei der Modellwahl.
Was passiert bei einem Datenschutzvorfall mit E-Mail?
Wenn ein Anhang an die falsche Adresse geht, müssen Sie prüfen, ob eine Meldepflicht nach Art. 33 DSGVO besteht. Das kostet Zeit, Reputation und manchmal ein Bußgeld. Ein Portal mit Mandantentrennung und Audit-Log reduziert die Wahrscheinlichkeit strukturell, weil der Mandant nur eigene Dokumente sieht und Versandwege nachvollziehbar sind.
Dokumentieren Sie für Ihre Unterlagen mindestens:
- welche Dokumentenklassen nur noch über das Portal laufen,
- welche Löschfristen für Uploads gelten,
- wer Zugriff auf Audit-Logs hat,
- wie Mandanten im Ernstfall informiert werden.
Das ist keine Bürokratie, sondern die Antwort, die ein Datenschutzbeauftragter oder Wirtschaftsprüfer erwartet.
Welche Rolle spielt die Verschwiegenheitspflicht?
Steuerberater unterliegen § 57 StBerG. Mandantendaten sind besonders schützenswert, unabhängig von der DSGVO. Ein Portal ersetzt diese Pflicht nicht, aber es hilft, sie technisch abzubilden. Zugriffe sind personalisiert, Weiterleitungen an Dritte werden vermieden, und interne Rollen begrenzen den Kreis der Einsicht.
In Kanzleien mit mehreren Gesellschaftern ist oft unklar, wer welchen Mandanten sieht. Ein Portal mit rollenbasierter Mandantenzuordnung schafft Klarheit. Das entlastet Partner in Haftungsfragen und beschleunigt Prüfungen durch den Datenschutzbeauftragten.
Welche Dokumente gehören in den sicheren Kanal?
Nicht jedes PDF braucht Portal-Level, aber diese Klassen sollten Sie klar zuordnen:
| Dokumentenklasse | Kanal empfohlen | Begründung |
|---|---|---|
| Lohnabrechnungen, Steuerbescheide | Portal | hohe Sensibilität |
| Gesellschaftsverträge, Vollmachten | Portal | Nachweis und Versionierung |
| Kurze Rückfragen | E-Mail oder Portal-Chat | geringes Risiko bei Klartext |
| Marketing-Newsletter | keine Mandantendaten |
Je klarer die Zuordnung intern dokumentiert ist, desto einfacher überzeugen Sie Mandanten und Prüfer vom Umstieg.
Was Sie als Nächstes tun können
Wenn E-Mail-Anhänge bei Ihnen noch Alltag sind, beginnen Sie mit einer Risiko-Einschätzung pro Dokumententyp, nicht mit einer Tool-Bestellung. Auf Mandantenportal für Steuerkanzleien sehen Sie, wie wir sicheren Dokumentenaustausch als Festpreis-Modul umsetzen. Der Potenzial-Check zeigt, ob Portal, Verschlüsselung oder zuerst Belegautomatisierung bei Ihnen den größten Hebel hat. Für ein Gespräch ohne Warteschleife nutzen Sie Direkt mit uns sprechen.
Quelle: Art. 32 DSGVO zu technischen und organisatorischen Maßnahmen: DSGVO Art. 32
Häufige Fragen
Sind E-Mail-Anhänge mit Steuerunterlagen DSGVO-konform?
Unverschlüsselte E-Mails mit personenbezogenen Daten und Finanzunterlagen gelten von Aufsichtsbehörden als riskant. Sie erfüllen Art. 32 DSGVO nur, wenn angemessene technische Maßnahmen wie Ende-zu-Ende-Verschlüsselung oder ein gesichertes Portal den Transport und Zugriff absichern.
Reicht ein Passwortgeschütztes PDF per E-Mail?
Ein PDF-Passwort schützt vor Laien, nicht vor strukturierten Angriffen oder Fehlversand. Es ersetzt weder Transportverschlüsselung noch Zugriffskontrolle. Für wiederkehrenden Mandantenaustausch ist ein Portal mit Login und Mandantentrennung die belastbarere Lösung.
Was muss ein DSGVO-konformes Mandantenportal können?
Mindestens verschlüsselte Übertragung (TLS), getrennte Mandantenbereiche, rollenbasierte Zugriffe, Protokollierung wer wann welches Dokument abgerufen hat, Hosting in der EU mit AV-Vertrag und regelmäßige Backups.
Können Mandanten weiter per E-Mail schreiben?
Ja, für kurze Rückfragen. Für Unterlagen mit personenbezogenen Daten sollten Sie einen klaren Kanal definieren und Mandanten aktiv auf das Portal verweisen. Mischbetrieb ohne Regel führt zu Lücken in der Nachweispflicht.